Come aggiornare a OpenSSH 10.4: guida completa alle novità e alle correzioni

OpenSSH 10.4 è la nuova versione del popolare strumento per la connessione sicura a reti remote, che introduce miglioramenti significativi in termini di sicurezza, gestione del protocollo e supporto per la crittografia post-quantistica. Questa versione è particolarmente utile per amministratori di sistema, sviluppatori e utenti avanzati che necessitano di connessioni SSH sicure e affidabili.

Le principali novità includono:

• Correzioni di sicurezza: Risoluzione di vulnerabilità che potrebbero essere sfruttate da server maliziosi, come il download di file in posizioni non intenzionali o la scrittura di file in directory non previste.
• Gestione più rigorosa del protocollo SSH: Implementazione di comportamenti più severi per prevenire l'invio di messaggi non conformi durante la rinegoziazione delle chiavi.
• Supporto sperimentale per la crittografia post-quantistica: Introduzione di un algoritmo di firma composito che combina ML-DSA 44 e Ed25519, utile per prepararsi a minacce future legate ai computer quantistici.
• Miglioramenti delle prestazioni: Sostituzione del matcher di pattern wildcard con un'automa finita non deterministica per evitare comportamenti esponenziali nel peggiore dei casi.
• Correzioni di bug: Risoluzione di vari problemi legati a crash, perdite di memoria, parsing della configurazione, gestione dei canali X11 e altro.

Questa versione è essenziale per chiunque utilizzi OpenSSH per garantire connessioni sicure e per prepararsi a future minacce informatiche.

Prerequisiti

• Hardware: Un sistema compatibile con OpenSSH 10.4
• Software: OpenSSH 10.4 installato sul sistema
• Permessi: Accesso come utente root o con privilegi di amministratore
• Ambiente: Sistema operativo supportato da OpenSSH (es. Linux, BSD, macOS)

PROCEDURA: Aggiornamento ad OpenSSH 10.4

Alla fine di questa guida, avrai aggiornato il tuo sistema ad OpenSSH 10.4, beneficiando delle correzioni di sicurezza, del miglioramento del protocollo e del supporto iniziale per la crittografia post-quantistica.

• Verifica la versione attuale di OpenSSH installata sul tuo sistema. Apri un terminale e digita: ssh -V
• Scarica il pacchetto OpenSSH 10.4 dal sito ufficiale. Apri un terminale e digita: wget https://cdn.openssh.com/openssh-10.4.tar.gz
• Estrai il file scaricato. Apri un terminale e digita: tar -xvzf openssh-10.4.tar.gz
• Configura il pacchetto per la compilazione. Apri un terminale e digita: ./configure

Verifica e Troubleshooting

Dopo aver aggiornato a OpenSSH 10.4, è importante verificare il corretto funzionamento delle nuove funzionalità e risolvere eventuali problemi.

Come testare se funziona

• Testare la sicurezza SFTP: Verifica che i file vengano scaricati nelle posizioni corrette utilizzando il comando "sftp host:/path .". Assicurati che un server malizioso non possa più indirizzare i file in posizioni non intenzionali.
• Testare la sicurezza SCP: Copia file tra due destinazioni remote e verifica che un server malizioso non possa più scrivere file nella directory genitore della destinazione prevista.
• Testare la lunghezza delle righe di comando SFTP: Utilizza comandi SFTP con più di nove argomenti e verifica che non vengano più troncati silenziosamente.
• Testare la pre-autenticazione DoS: Se utilizzi GSSAPIAuthentication, verifica che il server sshd non sia più vulnerabile ad attacchi di negazione del servizio prima dell'autenticazione.
• Testare il ritardo di autenticazione: Verifica che sshd applichi correttamente il ritardo di autenticazione minimo come configurato.
• Testare il re-exchange delle chiavi: Verifica che il client ssh gestisca correttamente un cambiamento della chiave host da parte del server durante un re-exchange delle chiavi.
• Testare il protocollo di trasporto SSH: Verifica che ssh e sshd disconnettano i peer che inviano messaggi non di scambio di chiavi durante il post-autenticazione key re-exchange.
• Testare la configurazione del server: Esegui "sshd -G" e verifica che le direttive siano stampate in maiuscolo/minuscolo misto.
• Testare la sandbox seccomp: Su sistemi Linux, verifica che i fallimenti nell'attivazione di SECCOMP o NONEWPRIVS siano ora fatali.
• Testare il supporto post-quantum: Se desideri testare il supporto sperimentale per il schema di firma post-quantum, aggiungi ML-DSA 44 e Ed25519 alle opzioni HostKeyAlgorithms o PubkeyAcceptedAlgorithms.

Cosa fare se fallisce

• Problemi con la configurazione: Se riscontri problemi con la configurazione, verifica che i file di configurazione non contengano elenchi di cifrari o MAC non validi.
• Problemi di compatibilità: Se utilizzi script che analizzano l'output di "sshd -G", aggiornali per gestire i nomi delle direttive in maiuscolo/minuscolo misto.
• Problemi di sandbox: Se il tuo sistema non supporta SECCOMP o NONEWPRIVS, disabilita la sandbox al momento della configurazione.
• Problemi di memoria: Se riscontri perdite di memoria, verifica che non ci siano crash o problemi di gestione della memoria durante l'uso intensivo di ssh o sshd.
• Problemi di portabilità: Se riscontri problemi su sistemi specifici, verifica le note di rilascio per eventuali aggiornamenti di portabilità.

Per ulteriori dettagli, consulta le note di rilascio di OpenSSH 10.4.

Conclusioni

Alla fine di questa guida, avrai compreso le principali novità e miglioramenti introdotti da OpenSSH 10.4, con un focus sulle correzioni di sicurezza e sulle nuove funzionalità.

Sintesi didattica

• Correzioni di sicurezza: OpenSSH 10.4 introduce importanti correzioni per prevenire vulnerabilità come il download di file in posizioni non intenzionali e l'accesso a directory parenti non autorizzate.
• Nuove funzionalità: Tra le novità più rilevanti, spicca il supporto sperimentale per un algoritmo di firma post-quantistica combinato.
• Compatibilità: Alcune modifiche potrebbero influenzare script che analizzano l'output di "sshd -G" o sistemi che utilizzano la sandbox seccomp.
• Bug fixes: Numerosi bug sono stati risolti, migliorando la stabilità e la sicurezza del software.

Invito alla pratica

Per sfruttare al meglio le nuove funzionalità e correzioni, aggiorna la tua installazione di OpenSSH e consulta le note di rilascio per dettagli tecnici e istruzioni specifiche.